기업이 사용하는 클라우드와 SaaS, 외부 솔루션이 늘면서 보안팀이 관리해야 할 대상도 자사 시스템에서 수백 곳의 협력사와 공급업체로 확대되고 있다. 문제는 벤더 보안등급과 설문 평가, GRC, 위협 모니터링 등이 서로 다른 시스템에서 운영돼 담당자가 정보를 옮기고 조치 상황을 일일이 추적해야 한다는 점이다. 시큐리티스코어카드는 이처럼 분리된 제3자 IT 위험관리(TPRM) 업무를 AI 에이전트가 하나의 흐름으로 연결하는 플랫폼을 내놨다. 위험을 발견한 뒤 우선순위를 정하고 벤더에 조치를 요청한 다음 실제 해결 여부를 다시 검사하는 과정까지 자동화한다.
시큐리티스코어카드(SecurityScorecard)는 AI 기반 제3자 IT 위험관리 플랫폼 ‘타이탄 AI(TITAN AI)’를 발표했다.
타이탄 AI는 벤더 온보딩부터 위험 평가와 지속적인 모니터링, 위험 조치, 보고까지 TPRM 업무를 하나의 워크플로우에서 관리하도록 설계됐다. 기존에 별도로 운영되던 벤더 보안등급과 보안 설문, GRC 등의 정보를 연결하고 반복적인 업무에는 AI 에이전트를 투입한다.
플랫폼은 ‘TITAN Watch’, ‘TITAN Assess’, ‘TITAN Secure’를 연결한다. 신규 벤더를 등록할 때 법인 정보를 확인하고 보안점수를 불러와 초기 위험등급을 설정한 뒤 이후 환경 변화와 위험을 지속적으로 확인하는 구조다.
보안 평가에서는 ‘Review Agent’가 벤더가 제출한 보안 설문 응답과 자료를 검토한다. 담당자가 모든 답변과 첨부자료를 처음부터 직접 확인하는 대신 추가적인 판단이 필요한 항목을 중심으로 살펴볼 수 있도록 지원한다. 벤더에는 비밀번호 없이 접속할 수 있는 설문 링크를 제공한다.
시큐리티스코어카드가 벤더 온보딩부터 보안 평가, 지속적인 모니터링, 위험 조치와 재검증, 보고까지 제3자 IT 위험관리 업무를 연결하는 AI 기반 플랫폼 ‘타이탄 AI’를 공개했다. (자료 제공: 시큐리티스코어카드)
위험 찾으면 AI가 조치 요청…해결됐는지 다시 검사
위험 대응에는 현재 발생하고 있는 위협 활동(Active Threat Activity)을 활용한다. TITAN Secure가 발견된 보안 문제를 위협 정보와 함께 평가해 대응이 필요한 벤더의 우선순위를 제시한다.
이후 ‘Response Agent’가 위험 조치 요청을 작성해 벤더에 전달하고 정해진 일정에 따라 후속 확인을 수행한다. 해결되지 않은 문제는 설정에 따라 자동으로 상위 단계에 전달할 수 있다. 벤더가 조치를 완료했다고 회신하면 자동 재검사(Auto-rescan)를 실행해 문제가 실제로 해결됐는지 다시 확인한다. 이후 같은 문제가 재발하거나 조치 상태가 유지되지 않으면 해당 이슈를 다시 열어 후속 대응을 진행할 수 있다.
즉 위험 발견→우선순위 설정→조치 요청→후속 확인→재검증까지 기존에 담당자가 여러 시스템을 오가며 처리하던 과정을 하나의 워크플로우로 묶은 것이 핵심이다.
다만 모든 판단을 AI에 맡기는 구조는 아니다. 기업이 필요한 수준에 맞춰 자동화 범위를 설정할 수 있다. 초기에는 AI가 작성한 위험 조치 요청을 담당자가 검토·승인한 뒤 벤더에 발송하도록 설정하고, 이후 특정 업무는 AI가 전체 과정을 수행하되 판단이 필요한 경우에만 담당자가 개입하도록 구성할 수 있다.
AI가 수행한 작업에는 어떤 작업을 실행했고 그 이유가 무엇인지 기록을 남긴다. 자동화 범위를 확대하더라도 담당자가 AI의 실행 과정을 확인할 수 있도록 하기 위해서다.
‘Workflow Builder’는 벤더 등록과 평가, 위험 조치 과정을 별도의 커스텀 코딩 없이 연결한다. 새로운 보안 정책을 설정하면 이후 등록되는 벤더에 동일한 정책을 적용할 수 있으며 위험 우선순위와 조치 진행 상황, 벤더 대응 수준 등 TPRM 프로그램 전체 현황도 확인할 수 있다.
시큐리티스코어카드는 TPRM 담당자 1명이 600개 이상의 벤더를 관리하는 경우도 있다며 반복적인 설문 검토와 후속 확인을 AI에 맡겨 담당자가 위험 판단과 의사결정에 집중하도록 하는 것이 타이탄 AI의 설계 방향이라고 설명했다.
회사에 따르면 타이탄 AI를 이용하는 기업에서 수작업이 최대 95% 감소하고 벤더 참여율은 최대 9배 높아진 사례가 확인됐다. 공급망 침해는 최대 75% 감소했으며 위험 귀속(Risk Attribution) 정확도는 99.9%를 기록했다고 설명했다. 다만 이는 시큐리티스코어카드가 자사 고객 사례를 기반으로 제시한 수치로, 기업의 환경이나 적용 범위에 따라 결과는 달라질 수 있다.
글로벌 식품기업 허쉬(The Hershey Company)도 타이탄 AI를 활용하고 있다. 허쉬는 식재료 공급업체와 제조 파트너, 포장·물류업체 등 공급망 파트너의 제3자 사이버 위험 관리에 플랫폼을 적용하고 있다.
시큐리티스코어카드는 국내 총판사 굿모닝아이텍과 금융·공공·기업 시장도 공략하고 있다. 최근 국내 보안 행사와 금융권 CISO 대상 행사 등에 참여했으며 지난 9월 열린 ‘KCSCON 2026’에서도 타이탄 AI를 소개했다.
우청하 시큐리티스코어카드 지사장은 “제3자 위험 관리는 여러 도구를 각각 운영하고 이를 연결하는 과정에서 정보가 단절되고 그 사이에서 위험을 놓칠 수 있는 구조였다”며 “타이탄 AI는 벤더 온보딩부터 평가, 지속적인 모니터링, 위험 조치와 보고까지 하나의 워크플로우로 연결해 보안팀이 판단과 의사결정이 필요한 업무에 집중할 수 있도록 지원한다”고 말했다.
The post 시큐리티스코어카드, 벤더 보안 설문부터 조치·재검증까지 AI가 잇는다…‘타이탄 AI’ 공개 appeared first on 벤처스퀘어.